Крупнейшие кражи и взломы в истории игр: похищение $620 млн у Axie Infinity, скины CS2 и утечка GTA 6

Крупнейшая кража, связанная с видеоиграми, произошла не в виртуальном мире, а в блокчейн-сети Ronin, обслуживавшей Axie Infinity. В марте 2022 года злоумышленники вывели из неё криптовалюту на сумму около $620 млн. По данным ФБР, за атакой стояли северокорейские хакеры. Однако подобные истории не ограничиваются криптоиграми. В этом материале разберём кражи инвентарей CS на миллионы долларов, многолетние аферы в EVE Online и взлом Rockstar, после которого в сеть попали около 90 роликов ранней версии GTA 6.

Axie Infinity — это игра про милых существ-акси, которых разводят, прокачивают и стравливают в боях, зарабатывая на этом настоящие деньги. На пике, в 2021 году, в неё играли миллионы человек, а на Филиппинах и в других странах для некоторых это стало полноценным заработком. Чтобы вся эта экономика функционировала быстро и дёшево, разработчик Sky Mavis построил для игры отдельную блокчейн-сеть — Ronin. Именно она и оказалась слабым звеном.

23 марта 2022 года злоумышленники получили контроль над большей частью узлов, которые подтверждали переводы внутри сети (пятью из девяти), и за две транзакции опустошили общий «мост» — хранилище, через которое деньги заходили в игру и выходили из неё. Забрали 173 600 ETH и 25,5 миллиона USDC. Причём пропажу заметили не сразу. Целых шесть дней всё выглядело штатно — до 29 марта, когда обычный игрок не смог вывести свои 5 000 ETH и поднял тревогу.

Забавная деталь: пока кражу шесть дней никто не замечал, эфир успел подорожать, и добыча сама собой выросла с 540 до 620 миллионов долларов. Воры разбогатели, ничего для этого не делая. На тот момент это был крупнейший криптовзлом в истории: прошлый рекорд, взлом Poly Network на 611 миллионов, померк на его фоне. Вот только вор из Poly Network в итоге почти всё вернул. А в случае с Ronin совесть никого не замучала. Позднее в ходе расследования удалось обнаружить и вернуть лишь небольшую часть похищенной суммы.

14 апреля 2022 года ФБР официально назвало виновных: за атакой стоят Lazarus Group и APT38 — хакерские структуры, которые связывают с властями Северной Кореи. По формулировке бюро, именно они «ответственны за кражу криптовалюты на 620 миллионов долларов». Ту же группировку подозревают в атаках на банки и криптобиржи по всему миру, а вырученное, по оценкам ООН и США, идёт в том числе на военные программы КНДР.

Для полноты картины: в феврале 2025 года взлом биржи Bybit на 1,5 миллиарда долларов отобрал у Ronin звание крупнейшего криптоограбления вообще. Но Bybit — биржа, а не игра, так что среди именно игровых историй Ronin по-прежнему держит абсолютный рекорд. А исполнителей, к слову, так и не поймали: Lazarus работает под крылом целого государства, и выдачи ждать не приходится. Куда интереснее другой вопрос: как вообще можно унести полмиллиарда так, чтобы деньги не отследила ни одна страна?

У крупных краж в play-to-earn слабое место — не сама игра, а деньги, которые к ней прикручены. Бьют обычно по одной из трёх точек: «мост» между блокчейнами (хранилище, через которое деньги заходят в игру и выходят), приватные ключи кошельков или дыра в смарт-контракте. У Ronin рухнул именно мост. И началась атака не с хитрого кода, а с человека: по данным расследователей, всё завязалось на поддельном предложении о работе, отправленном одному из инженеров Sky Mavis. Классическая социальная инженерия, а не магия.

Главный вопрос: куда девать сотни миллионов в криптовалюте, которые не примет ни один банк? Ответ — криптомиксеры, сервисы, которые перемешивают деньги так, чтобы оборвать след. Через один такой, Tornado Cash, из добычи Ronin прогнали больше 455 миллионов долларов. Реакция была беспрецедентной: 8 августа 2022 года власти США ввели санкции против самого Tornado Cash. Необычно то, что под санкции попал не человек и не компания, а по сути автономный код. Причина в заявлении Минфина названа прямо: сервисом пользовалась северокорейская Lazarus, в том числе чтобы отмыть деньги Axie Infinity.

Правда, продержались эти санкции недолго. В ноябре 2024-го апелляционный суд встал на сторону критиков: неизменяемые смарт-контракты нельзя санкционировать как чью-то собственность. А в марте 2025-го, пересмотрев дело, Минфин и вовсе убрал Tornado Cash из списка.

Вернуть удалось немного. 8 сентября 2022 года следователи вместе с аналитиками Chainalysis отбили около 30 миллионов долларов — примерно десятую часть украденного и первый в истории случай, когда деньги удалось изъять у хакеров, связанных с КНДР. Позже, уже в 2024-м, ещё около 5,7 миллиона помогли вернуть власти Норвегии. Остальное растворилось.

И вот цифра, после которой взлом Ronin перестаёт быть единичным ЧП: только за 2022 год из криптовалют украли 3,8 миллиарда долларов (по данным Chainalysis), почти половину увели структуры, связанные с Северной Кореей. Всего же за годы северокорейские хакеры наворовали порядка 6,75 миллиарда. Это сопоставимо с годовым военным бюджетом небольшой страны, и, судя по отчётам ООН, туда деньги и уходят: на ракетную программу. Выходит, милых акси профинансировали настоящую оборонку.

Взлом Ronin здесь не разовый инцидент, а самый громкий эпизод целой индустрии. И бьёт эта волна по играм регулярно. В декабре 2021 года из криптоигры Vulcan Forged украли приватные ключи кошельков и вывели около 140 миллионов долларов. А в феврале 2024-го обчистили платформу PlayDapp: атакующий нашёл дыру в смарт-контракте и попросту начеканил себе токенов почти на 290 миллионов (оценка аналитиков Elliptic). Это второе по величине ограбление игры в истории, сразу за Ronin. И лишнее доказательство, что уязвимо не само развлечение, а деньги, которые к нему прикручены.

Сама Axie Infinity, впрочем, выкарабкалась. Уже через неделю после взлома Sky Mavis привлекла раунд на 150 миллионов долларов во главе с биржей Binance — специально, чтобы вернуть деньги игрокам. Пострадавшим возместили всё украденное подчистую, мост перезапустили в конце июня 2022-го после трёх аудитов. Повезло, что за игрой стояла живая компания с инвесторами. У жертв большинства других краж из нашего списка такого спасательного круга не было.

Не нужно быть блокчейн-сетью, чтобы хранить состояние. Обычный инвентарь в CS2 или Dota 2 бывает дороже квартиры — редкие скины, ножи и перчатки годами торгуются за реальные деньги, а самые статусные предметы стоят как хороший автомобиль. И всё это лежит на аккаунте, который защищён ровно настолько, насколько озаботился владелец.

Показательная история случилась в июне 2022 года с легендарным коллекционером под ником HFB. У него угнали аккаунт, на котором лежало скинов больше чем на 2 миллиона долларов: семь сувенирных AWP Dragon Lore, редчайший нож «Керамбит» с узором Blue Gem, который сам по себе оценивали в районе 1,2 миллиона евро. Часть предметов воры успели перепродать, но Steam откатил сделки, и всё вернулось к хозяину. Более того: единственный проданный Dragon Lore, который откатить не вышло, Valve впервые с 2016 года просто пересоздала: сделала точную копию и выдала коллекционеру.

Отдельно стоит случай, когда злоумышленник не только угнал аккаунт, но и попытался уничтожить хранившуюся на нём коллекцию. В ноябре 2025 года взломали аккаунт коллекционера под ником Hawkeye с полным набором голографических стикеров Katowice 2014. Это одни из самых дорогих наклеек в игре: отдельный экземпляр Titan Holo стоит больше 70 тысяч долларов, а весь сет тянул тысяч на 300. Взломщик потребовал выкуп в биткоине. Не получив выкуп, злоумышленник наклеил всю коллекцию на дешёвые пулемёты Negev, после чего удалил наклейки. В CS такое действие необратимо: использованные предметы исчезают из инвентаря без возможности восстановления. Спасла только Valve: за ночь техподдержка откатила все действия и вернула стикеры. А позже компания призналась, что и сам взлом стал возможен по её же вине: агент техподдержки нарушил процедуру и восстановил доступ не тому человеку.

Крадут не только у частных коллекционеров, но и у целых площадок. В августе 2022 года взломали CS.Money — одну из крупнейших торговых площадок скинов: злоумышленники добрались до её торговых ботов и через сотню аккаунтов вывели предметов на около 6 миллионов долларов. Краденое раздали блогерам и трейдерам, чтобы замести следы, а самому сервису пришлось уйти в офлайн.

Массовые кражи игровых предметов часто начинались с фишинга. В 2018–2021 годах была распространена схема с подменой сделки: пользователя заманивали на поддельный торговый сайт, получали доступ к его аккаунту, а затем незаметно заменяли получателя при обмене. Состав предметов оставался прежним, поэтому жертва подтверждала операцию, не замечая подмены. Вернуть скины обычно не удавалось, поскольку Steam не отменял завершённые сделки. В июле 2025 года Valve представила систему Trade Protection, которая позволяет отменить подозрительный обмен в течение 7 дней.

Фишинг никуда не делся, просто стал изощрённее. В марте 2025 года сетью гуляла кампания с фейковым «бесплатным кейсом CS2» от имени киберспортивной команды NAVI: жертву заманивали через YouTube и показывали поддельное окно входа в Steam, неотличимое от настоящего. В феврале того же года мошенники угоняли ютуб-каналы и крутили записанный геймплей под видом «прямых эфиров» звёзд вроде s1mple и NiKo во время турнира IEM Katowice, уводя зрителей на фальшивые страницы входа и схемы «удвой свою крипту». Некоторые теряли по сотне тысяч долларов и больше.

И крадут не только у взрослых коллекционеров. В Roblox поставлен на поток «биминг» — массовый угон аккаунтов, часто детских, ради лимитированных предметов с уникальными номерами: их потом перепродают за реальные деньги на стороне. Отдельные жертвы лишались вещей на полмиллиона долларов, а одна группировка на рубеже 2025–2026 годов увела больше 600 тысяч аккаунтов.

В EVE Online шпионаж, предательство и присвоение корпоративных активов не нарушают правил. Поэтому крупные внутриигровые аферы давно стали частью истории проекта. Ущерб от них часто пересчитывают в реальные деньги, хотя такая оценка остаётся условной: ISK нельзя официально вывести из игры. Денежный эквивалент рассчитывают по стоимости игрового времени, которое можно приобрести за внутриигровую валюту.

Одна из самых известных афер произошла в 2005 году. Группировка Guiding Hand Social Club провела операцию, которую Книга рекордов Гиннесса признала самым враждебным корпоративным поглощением в истории EVE Online. Агент группировки около 10 месяцев завоёвывал доверие Мириал, руководительницы крупной корпорации, и в итоге получил доступ к её активам. Во время скоординированной атаки участники Guiding Hand Social Club уничтожили корабль Мириал и похитили имущество примерно на 30 млрд ISK. По стоимости игрового времени того периода добычу оценивали примерно в $16,5 тысячи.

Год спустя, в 2006-м, случилась кража, которая до сих пор держит рекорд Гиннесса как «крупнейшее виртуальное ограбление в MMO». Игрок под ником Cally основал внутриигровой банк EVE Intergalactic Bank, собрал вклады со всего сервера, а потом инсценировал собственную гибель и скрылся с деньгами. Унёс около 790 миллиардов ISK, порядка 29 тысяч долларов. И снова без всяких последствий: формально он ничего не нарушил.

В 2010 году аферист Bad Bobby в схеме Titans4U хитрой махинацией с долями продавил нужное голосование, дорвался до чертежей гигантских кораблей-титанов и вывел активов тысяч на 45 долларов. А в 2011-м рухнула настоящая финансовая пирамида Phaser Inc: она обещала 5% в неделю, собрала деньги с четырёх с лишним тысяч игроков и оставила организаторам свыше триллиона ISK, около 50 тысяч долларов. На тот момент — самый крупный задокументированный «развод» в игре.

Руководитель игрового банка EBANK под ником Ricdic всё же получил блокировку, но не за присвоение средств вкладчиков. В 2009 году он вывел из банка около 200 млрд ISK и продал валюту примерно за $5000. По его словам, деньги понадобились для первоначального взноса за дом и лечения сына. CCP заблокировала аккаунт за продажу игровой валюты за реальные деньги: кража в EVE Online не нарушает правил, а такие сделки запрещены.

Не все крупные потери в EVE Online связаны с кражами. В январе 2014 года состоялась «Кровавая баня B-R5RB» — сражение продолжительностью около 21 часа, во время которого уничтожили 75 титанов и множество других кораблей. Общий ущерб оценили примерно в $300 тысяч, однако эта сумма была лишь условным денежным эквивалентом потерянного имущества. Битва началась после того, как одна из коалиций не внесла плату за контроль над системой B-R5RB, из-за чего та стала уязвимой для захвата.

Крупные аферы продолжались и позднее. В 2023 году игрок под ником Jay Amazingness воспользовался доступом к активам Goonswarm и похитил имущество стоимостью свыше 4 трлн ISK.

Иногда похищение виртуального имущества становится основанием для уголовного дела. В 2007 году в Нидерландах арестовали 17-летнего подростка, получившего доступ к чужим аккаунтам Habbo Hotel и похитившего виртуальную мебель стоимостью несколько тысяч евро. В другом деле двое подростков избили сверстника и, угрожая ножом, заставили его передать им амулет и маску из RuneScape. В 2012 году Верховный суд Нидерландов подтвердил, что виртуальные предметы могут быть предметом кражи. Одному из осуждённых назначили 144 часа общественных работ.

Отдельная категория — когда грабят не игроков, а сами студии. Наиболее известная такая история случилась 18 сентября 2022 года, когда пользователь под ником teapotuberhacker выложил на форуме GTAForums около 90 роликов с ранней версией GTA 6 — плюс фрагменты внутренних данных. Публика впервые увидела двух главных героев, Вайс-Сити и рабочие сцены игры за годы до релиза. Rockstar на следующий день подтвердила подлинность, назвав случившееся «сетевым вторжением». Take-Two успокоила инвесторов: на сроки разработки и сервисы это не повлияло. Прямой ущерб студия позже оценила в суде примерно в 5 миллионов долларов плюс тысячи человеко-часов на расследование.

Взломщиком оказался 17-летний участник международной хакерской группировки Lapsus$ Арион Куртадж (Arion Kurtaj), которого также связывали со взломом Uber. Доступ к системам Rockstar он получил через внутренний корпоративный мессенджер Slack. На момент атаки Куртадж находился под залогом и под надзором полиции, а его ноутбук был изъят. Несмотря на это, он взломал компанию из номера отеля Travelodge, используя смартфон, гостиничный телевизор и Amazon Fire TV Stick. На VGTimes мы подробно рассказывали об утечке более 90 роликов из GTA 6 и обстоятельствах взлома Rockstar с помощью ТВ-приставки.

Из-за тяжёлой формы аутизма Куртаджа признали неспособным участвовать в обычном судебном процессе. Поэтому в августе 2023 года присяжные решали не вопрос о виновности, а лишь устанавливали, совершил ли он вменяемые ему действия. Они пришли к выводу, что совершил. В декабре Куртаджа поместили в закрытую психиатрическую клинику на неопределённый срок: он должен был оставаться там, пока врачи не сочтут его безопасным для общества.

К июлю 2026 года Куртаджа перевели из клиники в обычную тюрьму. В ноябре ему предстоит полноценный уголовный процесс — в том же месяце запланирован выход GTA 6.

Взлом Rockstar закончился публикацией материалов GTA 6, однако во многих других случаях похищенные данные используют для вымогательства. В феврале 2021 года группировка HelloKitty зашифровала серверы CD Projekt Red и похитила исходный код Cyberpunk 2077, «Ведьмака 3» и Gwent. Студия публично отказалась платить выкуп. После этого злоумышленники выставили данные на аукцион: начальная ставка составляла $1 млн, а приобрести весь архив без торгов предлагали за $7 млн. Позднее вымогатели заявили, что нашли покупателя.

Похожая атака произошла в декабре 2023 года. Группировка Rhysida потребовала у Insomniac Games выкуп в размере $2 млн в биткоинах. Студия и Sony платить отказались, после чего злоумышленники опубликовали около 1,3 млн файлов общим объёмом почти 1,7 ТБ. В архив вошли материалы Marvel's Spider-Man 2 и Marvel's Wolverine, внутренняя переписка, кадровые документы и сканы паспортов сотрудников. Среди похищенных файлов также оказалось соглашение Sony и Marvel с планами выпуска игр вплоть до 2035 года.

Крупные утечки происходили и раньше. В 2011 году после взлома PlayStation Network были раскрыты данные 77 млн учётных записей, а сам сервис оставался недоступен 23 дня. Sony оценила связанные с инцидентом расходы примерно в $170 млн. В конце 2020 года Capcom отказалась платить группировке Ragnar Locker требуемые $11 млн, после чего злоумышленники опубликовали корпоративные документы и персональные сведения. По оценке компании, утечка могла затронуть почти 400 тысяч человек.

Летом 2021 года хакеры похитили у Electronic Arts около 780 ГБ данных, включая исходный код FIFA 21 и движка Frostbite. По имеющимся данным, доступ к корпоративному Slack они приобрели на чёрном рынке примерно за $10, после чего выдали себя за сотрудника, потерявшего телефон, и убедили службу поддержки предоставить доступ к системе. Похищенный архив выставили на продажу за $28 млн, однако сведений о покупателе не появилось.

В 2023 году Riot Games также отказалась платить вымогателям $10 млн. В случае с Kadokawa, атакованной в 2024 году, ситуация могла развиваться иначе: по неподтверждённым данным, японская компания выплатила около $3 млн. Однако злоумышленники всё равно опубликовали часть похищенных файлов. Выплата выкупа не гарантирует, что данные будут удалены или останутся закрытыми.

Всё это звучит пугающе, но есть и хорошая новость. Крипто-взломы вроде Ronin и PlayDapp — это про дыры в коде и кошельках, тут от игрока мало что зависит. А вот угоны обычных игровых аккаунтов — а с них начинается немалая часть личных потерь — чаще всего упираются в человека: поддельное письмо, фальшивая ссылка, украденные cookie активной сессии, окно входа, неотличимое от настоящего. Значит, и защита в первую очередь про привычки. Вот что действительно снижает риск.

Двухфакторная аутентификация. Steam Guard, приложение-аутентификатор, коды подтверждения на каждый вход и каждую сделку. Это мера, которая в одиночку отсекает бóльшую часть угонов: даже если у вас увели пароль, без второго фактора внутрь не зайдут. Оговорка честная: двухфакторка не спасёт от угона активной сессии (украденных cookie) или от ошибки поддержки — в деле Hawkeye Steam Guard был включён, а доступ отдал сам сотрудник Valve. И всё же это защита номер один: если сделаете только что-то одно из списка — сделайте именно это.

Уникальный пароль на каждый сервис плюс менеджер паролей. Огромная доля взломов — это не взлом вовсе, а подстановка: логин и пароль, утёкшие с одного забытого форума, спокойно подходят к вашему Steam, потому что пароль везде один.

Проверяйте адрес сайта перед вводом логина и пароля. Само всплывающее окно не указывает на мошенничество: официальная кнопка «Войти через Steam» открывает такое же окно. Обращайте внимание на адресную строку. Авторизация через браузер проходит на steamcommunity.com, а официальные сайты Steam используют домены steampowered.com, steamcommunity.com и help.steampowered.com. Любой другой адрес, даже внешне похожий на официальный, должен вызвать подозрение. Безопаснее открывать нужный сайт самостоятельно, а не переходить по ссылкам из чатов или описаний к видео.

«Бесплатный скин», «проголосуй за мою команду», «удвой крипту», внезапный подарок от друга — всё это мошеничество. Аккаунт друга могли угнать час назад. Заманчивое предложение, которое требует срочно войти или что-то подтвердить, — это почти всегда ловушка.

Не отдавайте торговые ключи и токены сторонним сайтам. Ни один честный сервис не попросит у вас API-ключ Steam ради «быстрой сделки».

Для крипты — отдельная гигиена. Аппаратный кошелёк для крупных сумм, ничего не держать целиком в «горячем» кошельке и здоровый скепсис к play-to-earn, обещающим гарантированный доход. Разница с игровыми аккаунтами здесь принципиальная: Steam хотя бы иногда откатывает кражи (Hawkeye и HFB, считайте, повезло), а в блокчейне операция необратима и звонить в поддержку некому.

Идеальной защиты не существует, но разрыв между «увели за минуту» и «обломались» почти всегда проходит по двухфакторке и внимательности. Северокорейских хакеров и дыры в смарт-контрактах вы в одиночку не остановите — зато многие угоны аккаунтов начинаются с одной неосторожной ссылки. И вот здесь всё зависит только от вас: включите двухфакторную аутентификацию прямо сейчас, пока читаете эту строку.

А какая криминальная история в играх зацепила вас больше всего — и что мы упустили? Пишите в комментариях.

В марте 2022 года злоумышленники похитили из блокчейн-сети Ronin, созданной для Axie Infinity, 173600 ETH и 25,5 млн USDC. На момент обнаружения взлома активы оценивались примерно в $620 млн. ФБР связало атаку с северокорейской группировкой Lazarus. Позднее крупнейшей кражей в криптоиндустрии стал взлом биржи Bybit в 2025 году, однако среди игровых проектов рекорд по-прежнему принадлежит Ronin.

Правоохранительные органы вернули лишь часть похищенных средств: около $30 млн в 2022 году и ещё примерно $5,7 млн позднее при участии Норвегии. При этом Sky Mavis привлекла $150 млн инвестиций и использовала собственные средства, чтобы восстановить обеспечение активов пользователей. Однако средства из казны Axie DAO учитывались отдельно, поэтому утверждать, что удалось вернуть весь похищенный объём, некорректно.

Да. В 2024 году злоумышленники вывели с криптоигровой платформы PlayDapp активы, которые оценивались примерно в $290 млн, а в 2021-м платформа Vulcan Forged потеряла около $140 млн. У традиционных игровых компаний также регулярно похищают исходный код, персональные данные и внутренние документы. Подобные атаки пережили CD Projekt Red, Insomniac Games, Riot Games, Electronic Arts и Capcom.

Да. В 2012 году Верховный суд Нидерландов признал виртуальные предметы из RuneScape объектом кражи. Ещё в 2007 году в этой стране арестовали подростка, похитившего виртуальную мебель из аккаунтов пользователей Habbo Hotel. При определённых обстоятельствах кража игровых ценностей может повлечь реальную уголовную ответственность.

За взломом стоял 17-летний участник группировки Lapsus$ Арион Куртадж . В сентябре 2022 года он опубликовал около 90 роликов с ранней версией GTA 6. Из-за состояния Куртаджа присяжные первоначально устанавливали только факт совершения действий, а не его виновность. Его поместили в закрытую психиатрическую клинику, позднее перевели в тюрьму. Новый судебный процесс назначен на ноябрь 2026 года.

Да. Стоимость редких ножей, скинов и стикеров может достигать сотен тысяч и даже миллионов долларов. Поэтому аккаунты с ценными инвентарями регулярно становятся целями злоумышленников. Среди наиболее известных случаев — кража предметов у трейдера HFB примерно на $2 млн и взлом аккаунта коллекционера Hawkeye, чьи стикеры оценивались в $300 тысяч.

Используйте уникальный пароль, менеджер паролей и двухфакторную аутентификацию, например Steam Guard. Не переходите по ссылкам с обещаниями бесплатных предметов и просьбами проголосовать за команду. Перед авторизацией проверяйте адрес сайта и никому не передавайте пароль, коды подтверждения или другие данные для входа. Большинство аккаунтов похищают при помощи фишинга и социальной инженерии, а не прямого взлома сервиса.

Некоторые формы обмана, предательства и присвоения внутриигровых активов не запрещены правилами EVE Online и считаются частью игрового процесса. Однако продажа ISK за реальные деньги нарушает пользовательское соглашение. Именно за это был заблокирован руководитель банка EBANK под ником Ricdic, присвоивший средства вкладчиков.